4. PROCEDURA POLITYKI BEZPIECZEŃSTWA I OCHRONY DANYCH OSOBOWYCH OBOWIĄZUJĄCA W SZKOLE PODSTAWOWEJ NR 2 ŁĘCZNEJ

Transkrypt

1 4. PROCEDURA POLITYKI BEZPIECZEŃSTWA I OCHRONY DANYCH OSOBOWYCH OBOWIĄZUJĄCA W SZKOLE PODSTAWOWEJ NR 2 ŁĘCZNEJ W oparciu o: 1. Rozporządzenie Parlamentu Europejskiego i Rady Europy 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia Dyrektywy 95/46 z 27 kwietnia 2016 r. (Dz. Urz. UE L 119 z 4 maja 2016 r.). 2. Ustawę o ochronie danych osobowych z dnia 10 maja 2018 r. (Dz.U. z 2018 r. poz. 1000), ustala się zasady polityki bezpieczeństwa i ochrony danych osobowych obowiązujące w Szkole Podstawowej nr 2 w Łęcznej. I. USTALENIA WSTĘPNE 1 W Szkole Podstawowej nr 2 w Łęcznej: 1. podejmuje się działania dla ochrony praw związanych z bezpieczeństwem danych osobowych, 2. podnosi się świadomość oraz kwalifikacje osób przetwarzających dane osobowe w zakresie problematyki bezpieczeństwa tych danych, 3. ochrona danych osobowych należy do podstawowych obowiązków pracowniczych, 4. obowiązek ochrony danych będzie egzekwowany od każdego pracownika, który w jakikolwiek sposób ma do nich dostęp Dyrektor szkoły dba o zastosowanie możliwych środków ochrony danych osobowych w celu skutecznego zapobiegania zagrożeniom wykradania zasobów komputerowych. 1

2 3 1. Dane osobowe gromadzone są oraz przetwarzane z przestrzeganiem obowiązujących przepisów prawa. 2. Dane osobowe przetwarzane są w celu realizacji statutowych celów szkoły dla realizacji: a) zadań dydaktycznych, wychowawczych, opiekuńczych i organizacyjnych b) polityki kadrowej oraz bieżącej obsługi stosunków pracy i zatrudnienia. 4 Polityka bezpieczeństwa danych osobowych dotyczy danych gromadzonych i przetwarzanych w zbiorach: 1. drukowanych znajdujących się w dokumentacji szkoły, 2. w systemach informatycznych. 5 Szkoła chroni wszystkie posiadane zasoby zgodnie z w/w przepisami prawa. 1. Pod szczególną ochroną są tzw. wrażliwe dane osobowe wymienione w art. 27 ust.1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych Szkoła stosuje środki informatyczne, techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, zabezpieczając dane przed: a) ich udostępnieniem lub zabraniem przez osobę nieuprawnioną, b) zmianą, utratą, uszkodzeniem lub zniszczeniem, c) przetwarzaniem z naruszeniem ustawy. 2. Szkoła unowocześnia oraz zapewnia aktualizacje informatycznych środków ochrony danych osobowych pozwalającą na zabezpieczenie przed wirusami, nieuprawnionym dostępem oraz inni zagrożeniami danych, płynącymi z funkcjonowania systemu informatycznego oraz sieci telekomunikacyjnych Szkoła sprawuje kontrolę i nadzór nad niszczeniem zbędnych danych osobowych, ich zbiorów. 2. Niszczenie tych danych osobowych, ich zbiorów, polega na: 2

3 a) trwałym, fizycznym ich zniszczeniu wraz z ich nośnikami w stopniu uniemożliwiającym ich odtworzenie przez osoby niepowołane przy zastosowaniu powszechnie dostępnych metod, b) anonimizacji danych osobowych, zbiorów polegającej na pozbawieniu danych osobowych, ich zbiorów cech umożliwiających identyfikację osób fizycznych, których dane dotyczą. 3. Naruszenie przez zatrudnione osoby w ramach stosunku pracy, upoważnione do dostępu i przetwarzania danych osobowych stosowanych procedur niszczenia zbędnych danych osobowych, ich zbiorów traktowane będzie, jako ciężkie naruszenie podstawowych obowiązków pracowniczych ze wszystkimi konsekwencjami, włącznie z rozwiązaniem stosunku pracy. 3. Kontrola i nadzór nad niszczeniem zbędnych danych osobowych, ich zbiorów może polegać na wprowadzeniu odpowiednich procedur niszczenia danych, a także zlecaniu niszczenia ich, wyspecjalizowanym podmiotom zewnętrznym, gwarantującym bezpieczeństwo procesu niszczenia danych odpowiednie do rodzaju nośnika tych danych Szkoła prowadzi dokumentację określającą sposób przetwarzania danych oraz środki ochrony tych danych, którą jest niniejsza procedura. 2. Załącznikami do niniejszej procedury są: a) rejestr upoważnień dla pracowników do dostępu i przetwarzania danych załącznik nr 1, b) upoważnienie dla pracownika do dostępu i przetwarzania danych załącznik nr 2, c) wniosek o czasowe udzielenie upoważnienia do dostępu do danych osobowych załącznik nr 3, d) oświadczenie o zapoznaniu się pracownika z przepisami o ochronie danych załącznik nr 4, e) oświadczenie o wyrażeniu zgody na gromadzenie i przetwarzanie danych osobowych i wizerunku załącznik nr 5. II. ZASADY UDOSTĘPNIANIA DANYCH OSOBOWYCH 9 1. Szkoła udostępnia dane na miejscu wyłącznie osobom upoważnionym. 2. Upoważnienie może wynikać w szczególności z: 3

4 a) pisemnego zakresu czynności, obowiązków wykonywanych na danym stanowisku pracy, b) z odrębnego dokumentu zawierającego imienne upoważnienie do dostępu do danych osobowych. 3. Szkoła dopuszcza do przetwarzania danych w systemie informatycznym, tradycyjnym na mocy pisemnych upoważnień nadanych przez dyrektora lub inną osobę wskazaną przez dyrektora. 4. Upoważnienie wygasa w związku z ustaniem zatrudnienia lub w przypadku pozbawienia upoważnienia w związku z łamaniem ustawy o ochronie danych. 5. Szkoła zapewnia dostęp do przetwarzanych danych osobom, które powierzyły jej swoje dane Osoby niezatrudnione przy przetwarzaniu danych osobowych określonego zasobu, w tym osoby, które dane udostępniły, mające interes prawny lub faktyczny w uzyskaniu dostępu do tych danych mogą mieć do nich wgląd wyłącznie w obecności upoważnionego pracownika szkoły. 2. Zasada ta obowiązuje także w przypadku korzystania przez związki zawodowe z uprawnień przysługujących im na mocy odrębnych przepisów (k.p., ustawa o związkach zawodowych). 3. Dostęp do danych osobowych i ich przetwarzanie bez upoważnienia dyrektora lub osoby przez niego upoważnionej może nastąpić wyłącznie w przypadku działań osób lub organów upoważnionych na mocy odpowiednich przepisów prawa do dostępu i przetwarzania danych określonych zasobów. 4. Dostęp do danych osobowych mogą mieć: Najwyższa Izba Kontroli, Generalny Inspektor Ochrony Danych Osobowych, Zakład Ubezpieczeń Społecznych, Policja, organy skarbowe, Państwowa Inspekcja Pracy, Wojskowe Służby Informacyjne, Agencja Bezpieczeństwa Wewnętrznego, sądy powszechne i inne upoważnione przez przepisy prawa podmioty i organy, na mocy nadanych im uprawnień po ich okazaniu. III. PRACOWNICY PRZETWARZAJACY DANE Zaznajomienie osób upoważnionych do przetwarzania danych osobowych z powszechnie obowiązującymi przepisami prawa, uregulowaniami wewnętrznymi, 4

5 a także technikami i środkami ochrony tych danych stosowanymi w szkole może odbywać się poprzez: a. szkolenia wewnętrzne na terenie szkoły, b. szkolenie zewnętrzne, c. instruktaż stanowiskowy, d. udostępnienie procedury i in. przepisów w tym zakresie. 2. Osoby upoważnione do przetwarzania danych osobowych są zapoznane z zakresem informacji objętych tajemnicą, a także o obowiązku zachowania w tajemnicy danych osobowych oraz sposobów ich zabezpieczenia stosowanych w szkole. 12 Naruszenie zasad bezpiecznego i zgodnego z prawem ich przetwarzania przez pracowników upoważnionych do dostępu, traktowane będzie jako ciężkie naruszenie podstawowych obowiązków pracowniczych ze wszystkimi konsekwencjami, włącznie z rozwiązaniem stosunku pracy. 13 Osoby, których dane są przetwarzane w związku z realizacją celów statutowych szkoły, uzyskują informacje o przysługujących im prawach nadanych ustawą o ochronie danych osobowych. IV. OBSZAR SZKOŁY, W KTÓRYM PRZETWARZANE SĄ DANE OSOBOWE Szkoła wyznacza pomieszczenia i części pomieszczeń, tworzące obszar, w którym przetwarzane są dane. 2. Osoby upoważnione do przetwarzania danych osobowych uniemożliwiają dostęp osób niepowołanych do zbiorów danych osobowych przetwarzanych w danym pomieszczeniu. 3. Komputery, w których odbywa się praca w związku z przetwarzaniem lub gromadzeniem danych, powinny być ustawiane w sposób uniemożliwiający dostęp do danych. 15 5

6 1. Całkowite opuszczenie (przez pracownika upoważnionego do przetwarzania danych) pomieszczenia, w którym przetwarzane są dane osobowe, może nastąpić po odpowiednim zabezpieczeniu tych danych. 2. Opuszczenie przez pracownika przetwarzającego dane osobowe obszaru ich przetwarzania bez jego zabezpieczenia oraz znajdujących się w nim zbiorów danych jest niedopuszczalne i będzie traktowane jako ciężkie naruszenie podstawowych obowiązków pracowniczych. V. ZBIORY DANYCH OSOBOWYCH 16 Szkoła sprawuje nadzór nad rodzajami oraz zawartością zbiorów danych osobowych tworzonych na jego obszarze. 17 Szkoła realizując politykę bezpieczeństwa w zakresie ochrony danych osobowych, zapewnia zgodnie z przepisami ochronę zbiorom danych osobowych sporządzanych doraźnie, ze względów technicznych, szkoleniowych lub w związku z procesem dydaktycznym i wychowawczo-opiekuńczym realizowanym przez szkołę, a po ich wykorzystaniu niezwłocznie usuwanych albo poddanych anonimizacji. 18 Szkoła zabrania gromadzenia i tworzenia zbiorów danych osobowych innych niż niezbędne dla realizacji celów statutowych. VI. USTALENIA KOŃCOWE 19 Procedura obowiązuje wszystkich pracowników szkoły, w szczególności tych, którzy tworzą, gromadzą lub w jakikolwiek sposób wykorzystują dane osobowe. 6

7 Załącznik nr 1 Rejestr upoważnień dostępu do danych osobowych oraz ich przetwarzania w Szkole Podstawowej nr 2 im. Tadeusza Kościuszki w Łęcznej Lp. Imię i nazwisko Stanowisko Data Podpis Data Podpis pracy nadania ustania 7

8 Załącznik nr 2 Upoważnienie pracownika Szkoły Podstawowej nr 2 im. Tadeusza Kościuszki w Łęcznej do dostępu do danych osobowych oraz ich przetwarzania Upoważniam Pana/Panią.. do dostępu i przetwarzania danych osobowych w SP nr 2 w Łęcznej obejmujących następujący zakres; dane osobowe uczniów, rodziców/opiekunów prawnych, niezbędnych do prowadzenia dokumentacji szkolnej oraz dla celów egzaminów. Równocześnie zobowiązuję Pana/Panią do zachowania w tajemnicy wszelkich informacji dotyczących przetwarzania danych osobowych oraz sposobu ich zabezpieczenia. Informuję, że udostępnianie danych osobowych lub umożliwianie dostępu do nich osobie nieuprawnionej podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat dwóch. 1. Podstawa prawna: art. 29 Rozporządzenie Parlamentu Europejskiego i Rady Europy 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia Dyrektywy 95/46 z 27 kwietnia 2016 r. (Dz. Urz. UE L 119 z 4 maja 2016 r.). Upoważnienie jest ważne od.. do ( Należy wpisać daty, lub użyć terminu odwołania ). (data i podpis upoważnionego) (data i podpis administratora danych) 8

9 Załącznik 3 Imię i nazwisko wnioskodawcy Łęczna, dn.. Stanowisko Wniosek Proszę o udzielenie upoważnienia do dostępu do danych osobowych.. w zakresie dotyczącym przetwarzania danych w celu Jednocześnie zobowiązuję się do zachowania tajemnicy informacji, z którymi zapoznam się podczas korzystania z Proszę o udzielenia upoważnienia w okresie.... data i podpis wnioskodawcy 9

10 Załącznik 4 Oświadczenie o zapoznaniu się pracownika z przepisami o ochronie danych osobowych Oświadczam, że zapoznałem/łam się z obowiązującymi przepisami o ochronie danych osobowych. Lp. Imię i nazwisko Data Podpis 10

11 Załącznik nr 5 OŚWIADCZENIE Zgoda na przetwarzanie danych osobowych i wizerunku Dotyczy dziecka:... /imię, nazwisko/ 1. Zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia Dyrektywy 95/46 z 27 kwietnia 2016 r. (Dz. Urz. UE L 119 z 4 maja 2016 r.). wyrażam zgodę na: - przetwarzanie i wykorzystywanie danych osobowych i wizerunku naszego dziecka w celach statutowych szkoły, tj: publikacji na stronach internetowych szkoły, w gazetkach szkolnych, w gablotach i tablicach na korytarzu szkolnym; - branie udziału w konkursach, olimpiadach, zawodach sportowych, programach edukacyjnych i profilaktycznych akcjach charytatywnych oraz publikowanie uzyskanych wyników oraz informacji na temat podjętych działań.... /data/ /czytelny podpis rodzica/prawnego opiekuna/ 11